Direkt-Links auf Dateien verhindern

**TobiaZ** · 22.10.2007, 23:24

Nicht gefunden?

Dateien außerhalb des Webroot speichern.

und im PHP-Script mit readfile() an den Browser senden.

Rest selber informieren.

**Azadoras** · 23.10.2007, 19:55

Erstmal vielen Dank lieber TobiaZ. Ich habe die Sache mal recherchiert, und festgestellt, dass sich damit ziemlich genau das erreichen lässt, was ich möchte.

Haken an der Sache ist bloß, dass ich bei meinem Webspace-Anbieter keinen Zugriff auf den Nicht-Webroot-Ordner habe, sondern nur auf meinen htdocs Ordner. Ich zahl schließlich auch nur 2 Euro im Monat dafür.

Folgende Lösung kam mir selbst in den Sinn:

1.) Ordner mit den zu downloadenden Dateien per .htaccess generell erstmal blocken, um das direkte Linken auf die Dateien zu unterbinden.

2.) Durch den Klick auf den Button auf meiner Seite soll ein php-script aktiv werden, das sich mit Username und Passwort beim .htaccess authentifiziert, OHNE, dass der User etwas eingeben muss. Sprich login-name und Passwort sollen im Code einfach gespeichert werden. Dann erst soll sich Datei öffnen, bzw. der Download starten ( sind vorwiegend Word-Dokumente )

Sinn des Ganzen ist wie gesagt, dass der User über meine Seite zu der Datei kommen soll, und nicht einfach irgendwelche Leute den Direkt-Link wahllos weitergeben und ich dann den Traffic für die DLs an der Backe habe, die Leut aber nicht auf meiner Seite gewesen sind.

Problem ist, dass ich keine Ahnung habe, wie man über php mit dem .htaccess kommuniziert. Ich habe auch dort mal wieder etwas gegoogelt, aber ich scheine darin doch gänzlich unfähig zu sein, denn ich bin auf nichts gestoßen, mit dem ich wirklich etwas anfangen konnte, bzw. das mir effektiv weitergeholfen hat bei meinem Problem.

Daher wäre ich für einen weiteren heißen Tip sehr dankbar!

**TobiaZ** · 23.10.2007, 20:05

Haken an der Sache ist bloß, dass ich bei meinem Webspace-Anbieter keinen Zugriff auf den Nicht-Webroot-Ordner habe, sondern nur auf meinen htdocs Ordner. Ich zahl schließlich auch nur 2 Euro im Monat dafür.

Ich möchte wetten, dass du unterhalb deines aktuellen root ein neuen Ordner "public" erstellen kannst. Und einen "myfiles". Und dann lässt sich im Confixx sicher die Domain auf das public verzeichne routen. Das kann ich sogar bei meinen 99ct. hostern.

Deine Alternative

1.) Ordner mit den zu downloadenden Dateien per .htaccess generell erstmal blocken, um das direkte Linken auf die Dateien zu unterbinden.

Ist auch sehr praktikabel. Jedoch ist

2.) Durch den Klick auf den Button auf meiner Seite soll ein php-script aktiv werden, das sich mit Username und Passwort beim .htaccess authentifiziert, OHNE, dass der User etwas eingeben muss. Sprich login-name und Passwort sollen im Code einfach gespeichert werden. Dann erst soll sich Datei öffnen, bzw. der Download starten ( sind vorwiegend Word-Dokumente )

total überflüssig. Schließlich sollst du nicht über HTTP auf diesen Ordner zugreifen, sondern übers Filesystem (z.B. readfile()) und da greift der Passwortschutz erst gar nicht.

Deine anderen Probleme sollten damit behoben sein...

**Azadoras** · 23.10.2007, 20:38

Ah, das wusste ich nicht. Super, ich danke dir vielmals! Gut zu wissen, dass der Schutz bei readfile(); nicht greift. *g*

Ich werds mal testen, und dann hier posten obs geklappt hat. Danke dir TobiaZ!

**Azadoras** · 27.10.2007, 12:09

Okay, ich kann nun zwar drauf zugreifen, aber wirklich viel hilft mir das nicht, weil dann sowas herauskommt:

Link

**onemorenerd** · 27.10.2007, 12:16

header('Content-type: ...');

**Azadoras** · 27.10.2007, 20:30

Ah, okay, danke. Das bringt mich auf jeden Fall nun schoneinmal weiter, als ich es vorher gewesen bin.

folgenden Code enthält die test.php nun:

PHP-Code:


<?php

     header('Content-type: application/gif');

     header('Content-Disposition: attachment; filename="bla.gif"');

     readfile("/www/htdocs//test/bla.gif");

?>

Das Ergebnis ist allerdings noch immer nicht ganz so, wie es sein sollte. :/

http://www.uo-freeshard.de/test.php

Ich kapier nicht, was ich da genau rein muss in den header-Teil, und dein Link "Content-Type" hat mir da auch nicht wirklich weiter geholfen.

Auf jedenfall danke schonmals für die Hilfe und die Geduld!

Aber was muss da oben nun rein ? ^^

**TobiaZ** · 27.10.2007, 21:01

Also bei mir kommt ein Download-Dialog. Was ist dein Problem???

BTW: Das Thema ist nun wirklich nicht neu. Gibt genug fertige Lösungen...

**Azadoras** · 27.10.2007, 21:19

Das Problem ist, dass mein PHP-Editor aufgeht, wenn ich den Download öffne, und da dann drin steht: "GIF89aßæ". Es sollte sich aber das Bildchen öffnen eigentlich. :>

Und fertige Lösungen dafür habe ich leider nicht gefunden. Außerdem bin ich der Typ, der sich gern mal weiterbildet, ich wüsste halt gern wie der Kram funktioniert den ich benutze.

Wenn du aber ne fertige Lösung dafür im Petto haben solltest, dann nehme ich die voller Dankbarkeit und mit Kusshand an, da ich schon sei t Tagen an dem Problem am Knuspern bin und das einfach nich gebacken kriege. :>

**onemorenerd** · 27.10.2007, 21:52

http://de2.php.net/manual/de/function.header.php#48538

Ich habs nicht ausprobiert, aber das sieht ziemlich vollständig aus. Wenn es damit nicht funktioniert, liegt es eher an deinen Browsereinstellungen.

**Azadoras** · 28.10.2007, 12:05

Hm, danke dir erstmal!

Habe es mir angeschaut, und auch ausprobiert. Irgendwo scheint dort noch ein Fehler drin zu sein, denn er findet die Datei nicht. :>

Das ist mein Code der test.php:

PHP-Code:


<?php

     function dl_file($file){



    //First, see if the file exists

    if (!is_file($file)) { die("<b>404 File not found!</b>"); }



    //Gather relevent info about file

    $len = filesize($file);

    $filename = basename($file);

    $file_extension = strtolower(substr(strrchr($filename,"."),1));



    //This will set the Content-Type to the appropriate setting for the file

    switch( $file_extension ) {

          case "pdf": $ctype="application/pdf"; break;

      case "exe": $ctype="application/octet-stream"; break;

      case "zip": $ctype="application/zip"; break;

      case "doc": $ctype="application/msword"; break;

      case "xls": $ctype="application/vnd.ms-excel"; break;

      case "ppt": $ctype="application/vnd.ms-powerpoint"; break;

      case "gif": $ctype="image/gif"; break;

      case "png": $ctype="image/png"; break;

      case "jpeg":

      case "jpg": $ctype="image/jpg"; break;

      case "mp3": $ctype="audio/mpeg"; break;

      case "wav": $ctype="audio/x-wav"; break;

      case "mpeg":

      case "mpg":

      case "mpe": $ctype="video/mpeg"; break;

      case "mov": $ctype="video/quicktime"; break;

      case "avi": $ctype="video/x-msvideo"; break;



      //The following are for extensions that shouldn't be downloaded (sensitive stuff, like php files)

      case "php":

      case "htm":

      case "html":

      case "txt": die("<b>Cannot be used for ". $file_extension ." files!</b>"); break;



      default: $ctype="application/force-download";

    }



    //Begin writing headers

    header("Pragma: public");

    header("Expires: 0");

    header("Cache-Control: must-revalidate, post-check=0, pre-check=0");

    header("Cache-Control: public");

    header("Content-Description: File Transfer");



    //Use the switch-generated Content-Type

    header("Content-Type: $ctype");



    //Force the download

    $header="Content-Disposition: attachment; filename=".$filename.";";

    header($header );

    header("Content-Transfer-Encoding: binary");

    header("Content-Length: ".$len);

    @readfile($file);

    exit;

}



dl_file("/test/bla.gif");

?>

Liefer aber immernoch nicht das gewünschte Ergebnis:

http://www.uo-freeshard.de/test.php

**3DMax** · 28.10.2007, 12:15

Original geschrieben von Azadoras
Irgendwo scheint dort noch ein Fehler drin zu sein, denn er findet die Datei nicht. :>

dl_file("/test/bla.gif");

du verwendest ja auch eine absolute pfadangabe. lass mal den ersten / weg.

**Azadoras** · 28.10.2007, 20:13

Man bin ich blöde. Danke dir! Hach, ich könnt euch alle knuddeln. Es funktioniert endlich, und zwar exakt so, wie ich es mir vorgestellt habe!

Danke Leute!

**Azadoras** · 24.11.2007, 15:25

Moin Leute,

ich bin nun auf ein weiteres Problem gestoßen. Direktlinks auf Dateien sind zwar nichtmehr möglich, bei der Benutzung des obigen Scriptes und entsprechender .htaccess Datei ( "Deny from all" ) im File-Ordner, aber man kann leider immernoch direkt auf download.php?id=x verlinken, und dann über das Script immernoch die Files runterladen, ohne über meine Seite gegangen sein zu müssen.

Hat jemand eine Idee, wie ich das in das Script noch einbauen kann, bzw. einen Tip ?

Direkt-Links auf Dateien verhindern